ĐẠI HỌC THÁI NGUYÊN KHOA CÔNG NGHỆ THÔNG TIN TRẦN DUY MINH GIẢI PHÁP AN NINH TRONG KIẾN TRÚC QUẢN TRỊ MẠNG SNMP Chuyên ngành: Khoa học máy tính Mã số: 60.48.01 LUẬN VĂN THẠC SĨ CÔNG NGHỆ THÔNG TIN Người hướng dẫn: PGS.TS Nguyễn Văn Tam Thái Nguyên, tháng 12/2008 2 MỤC LỤC CÁC THUẬT NGỮ VIẾT TẮT 2 DANH MỤC CÁC HÌNH 4 ĐẶT VẤN ĐỀ 6 Chương 1: TỔNG QUAN VỀ QUẢN TRỊ VÀ AN NINH THÔNG TIN TRÊN INTERNET 7 1.1. Giao thức và dịch vụ Internet 7 1.1.1. Giới thiệu giao thức TCP/IP 8 1.1.2. Giao thức UDP 14 1.1.3. Giao thức TCP 16 1.2. Các mô hình quản trị mạng SNMP 19 1.2.1. Quản lý mạng Microsoft sử dụng SNMP 19 1.2.2. Quản lý mạng trên môi trường Java 22 1.2.3. Cơ chế quản lý mạng tập trung theo mô hình DEN 23 1.3. Vấn đề bảo đảm an ninh truyền thông trên Internet 25 1.3.1. Khái niệm về đảm bảo an ninh truyền thông 25 1.3.2. Một số giải pháp 27 1.3.4. Các thành phần thường gặp trong bức tường lửa 27 Chương 2: GIẢI PHÁP AN NINH MẠNG SNMP 29 2.1. Giao thức quản trị mạng SNMP 29 2.1.1. Giới thiệu giao thức SNMP. 30 2.1.2. SNMP Version 3 35 2.1.3. Hoạt động của SNMP: 40 2.2. Các giải pháp xác thực thông tin quản trị 53 2.3. Giải pháp đảm bảo toàn vẹn thông tin quản trị 55 2.4. Giải pháp mã mật thông tin quản trị 56 2.4.1. Sơ lược mật mã đối xứng DES 58 2.4.2. Thuật toán bảo mật DES. 59 2.4.2.1. Chuẩn bị chìa khoá: 60 2.4.2.2. Giải mã: 61 Chương 3: MÔ HÌNH THỬ NGHIỆM 63 3.1. Lựa chọn mô hình thử nghiệm 63 3.2. Phân tích quá trình hoạt động 65 3.2.1 Cài đặt chương trình 65 3.2.2 Phân tích quá trình hoạt động 70 3.3. Đánh giá hiệu quả mô hình 71 CÀI ĐẶT CẤU HÌNH HỆ THỐNG 72 KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN 76 TÀI LIỆU THAM KHẢO 77 3 CÁC THUẬT NGỮ VIẾT TẮT THUẬT NGỮ, VIẾT TẮT MÔ TẢ Ý NGHĨA ARP Address Ressulation Protocol ASN.1 Abstract Syntax Notation 1 BER Basic Encoding Rules Buffer Bộ đệm CA Certificate Authentication CHAP Challenge Handshake Authentication Protocol Datagram Đơn vị dữ liệu DES Data Encryption Standard full-duplex Cơ chế truyền song công ICMP Internet Control Message Protocol IETF Internet Engineering Task Force IGMP Internet Group Message Protocol ISN Initial Sequence Number JNDI Java Naming Directory Interface LDAP Lightweight Directory Access Protocol MIB Management Information Base MSS Maximum Segment Size NAS Network Access Service NMS Network Management System OID Object identifier Packet filtering Bộ lọc gói tin PAP Password Authentication Protocol PDU Protocol Data Unit RADIUS Remote Authentication Dial-In User Service RARP Reverse Address Ressulation Protocol RAS Remote Access Service RFC Requests for Comments RMON Remote Network Monitoring Segment Đoạn dữ liệu SGMP Simple Gateway Management Protocol SMI Structure of Management Information SMTP Simple Mail Transfer Protocol SNMP Simple Network Management Protocol TACACS Terminal Access Controller Access-Control System TCP Transmission Control Protocol TCP/IP Transmission Control Protocol/Internet Protocol UDP User Datagram Protocol 4 DANH MỤC CÁC HÌNH STT Tên hình Trang 1 Hình 1.1: Giao thức truyền thông trên máy tính 7 2 Hình 1.2. Kiến trúc TCP/IP 8 3 Hình 1.3: Các giao thức thuộc lớp Network Access 9 4 Hình 1.4: Các giao thức tại lớp Internet 10 5 Hình 1.5: Các giao thức thuộc lớp Transport 11 6 Hình 1.6: Các giao thức thuộc lớp Application 12 7 Hình 1.7: Quá trình đóng mở gói dữ liệu TCP/IP 13 8 Hình 1.8: Cấu trúc dữ liệu trong TCP/IP 14 9 Hình 1.9: Khuôn dạng UDP datagram 15 10 Hình 1.10: Khuôn dạng TCP segment 17 11 Hình 1.11: Quản lý mạng Microsoft sử dụng SNMP 19 12 Hình 1.12: Các tác vụ SNMP 20 13 Hình 1.13: Cách thức SNMP làm việc 21 14 Hình 1.14: Quản lý mạng hỗ trợ Java 22 15 Hình 1.15: Quản lý mạng qua CSDL các lớp đối tượng DEN 24 16 Hình 1.16:Mô hình các mức bảo vệ an toàn 27 17 Hình 2.1: Lưu đồ giao thức SNMP 30 18 Hình 2.2: Quá trình hoạt động của SNMP 30 19 Hình 2.3: Mạng được quản lý theo SNMP 32 20 Hình 2.4 : Tổng quan kiến trúc SNMPv3 35 21 Hình 2.5: Khuôn dạng Message của SNMPv3 36 22 Hình 2.6: Thực thể SNMPv3 37 23 Hình 2.7: Dịch vụ xác thức đối với Message Outgoing 37 24 Hình 2.8: Dịch vụ xác thực đối với Message Incoming 38 25 Hình 2.9: SNMP manager truyền thống 39 26 Hình 2.10: Mối quan hệ giữa NMS và agent 40 27 Hình 2.11: Cây đối tượng nguồn 42 28 Hình 2.12: Cây đối tượng kế thừa 43 29 Hình 2.13: Hoạt động của SNMP 44 30 Hình 2.14: Hoạt động của lệnh “get” trong giao thức SNMP 45 31 Hình 2.15: Quá trình tìm kiếm trong cây 47 32 Hình 2.16: Hoạt động của Set 48 33 Hình 2.17: Hoạt động của SNMP Trap 50 34 Hình 2.18: Mô hình an ninh mạng 54 35 Hình 2.19: Quá trình mã mật thông tin 55 36 Hình 2.20: Mô hình DES 56 5 STT Tên hình Trang 37 Hình 3.1: Enable SNMP trên Router ADSL ZoomX5, X6 63 38 Hình 3.2: Cài đặt SNMP trên ADSL Dlink-D520T 63 39 Hình 3.3: Hộp thoại Welcome to PRTG Traffic Grapher 64 40 Hình 3.4: Giao diện PRTG Traffic Grapher 64 41 Hình 3.5: Chọn giao thức SNMP 65 42 Hình 3.6: Chọn chuẩn Sensor 66 43 Hình 3.7: Lựa chọn IP và version 66 44 Hình 3.8: Chọn Sensor 67 45 Hình 3.9: Giao diện Sensor Monitoring 68 46 Hình 3.10: Cấu trúc một Probe 69 37 Hình 3.11: Quá trình gom nhóm các Probe 70 6 ĐẶT VẤN ĐỀ Công nghệ mạng Internet/Intranet đang phát triển mạnh mẽ và xu hướng tích hợp các mạng không đồng nhất để chia sẻ thông tin cũng xuất hiện ngày càng nhiều. Việc bảo đảm hệ thống mạng phức tạp, có quy mô lớn hoạt động tin cậy, hiệu năng cao, thông tin tin cậy đòi hỏi phải phải có hệ quản trị mạng để thu thập và phân tích một số lượng lớn dữ liệu một cách hiệu quả. Tuy nhiên, thông tin quản trị mạng lại phải truyền trên môi truờng Internet, có thể bị thất thoát, thay đổi hay giả mạo cần phải được bảo vệ. Các phiên bản SNMPv1 và SNMPv2 mới chỉ đưa ra giải pháp xác thực yếu dựa trên cộng đồng (community). Chính vì vậy, việc nghiên cứu các giải pháp bảo đảm tính xác thực, tính toàn vẹn, tính mật của các thông điệp quản trị mạng là hết sức cần thiết. Phiên bản SNMPv3 đã ra đời nhằm đáp ứng một phần yêu cầu cấp bách này. Tuy nhiên, việc lựa chọn mô hình thực thi vẫn còn nhiều vấn đề cần giải quyết. Tôi chọn hướng nghiên cứu này mong muốn đóng góp, xây dựng thử nghiệm vào một mô hình cụ thể và qua đó đánh giá khả năng triển khai trong thực tế hệ thống quản trị mạng có độ an ninh cao. Khuôn khổ luận văn bao gồm 3 chương: Chương 1: Tổng quan về quản trị và an ninh thông tin trên Internet. Chương 2: Nghiên cứu giải pháp an ninh mạng SNMP. Chương 3: Xây dựng mô hình thử nghiệm. Em xin chân thành cảm ơn sự nhiệt tình giúp đỡ của thầy giáo PGS.TS Nguyễn Văn Tam đã giúp em hoàn thành luận văn. Người thực hiện Trần Duy Minh 7 Chương 1: TỔNG QUAN VỀ QUẢN TRỊ VÀ AN NINH THÔNG TIN TRÊN INTERNET 1.1. Giao thức và dịch vụ Internet Bộ giao thức là tập hợp các giao thức cho phép sự truyền thông mạng từ một host thông qua mạng đến host khác. Giao thức là một mô tả hình thức của một tập luật và tiêu chuẩn khống chế một khía cạnh đặc biệt trong hoạt động thông tin của các thiết bị trên mạng. Giao thức xác định dạng thức, định thời, tuần tự và kiểm soát lỗi trong hoạt động truyền số liệu. Không có giao thức, máy tính không thể tạo ra hay tái tạo luồng bít đến từ máy tính khác sang dạng ban đầu. Các giao thức điều khiển tất cả các khía cạnh của hoạt động truyền số liệu, bao gồm: - Mạng vật lý được xây dựng như thế nào. - Các máy tính được kết nối đến mạng như thế nào. - Số liệu được định dạng như thế nào để truyền. - Số liệu được truyền như thế nào. - Đối phó với lỗi như thế nào. Nguồn Đích Đường truyền vật lý L, M, N Các lớp trong mô hình truyền thông Msource, Mdestination Các lớp ngang hàng Truyền thông ngang hàng M layer Protocol Các nguyên tắc thông tin giữa Msource và Mdestination Hình 1.1: Giao thức truyền thông trên máy tính L M N L M N 8 Các luật mạng này được tạo ra và duy trì bởi nhiều tổ chức và hiệp hội khác nhau. Bao gồm trong các nhóm này là IEEE, ANSI, TIA/EIA và ITU-T (trước đây là CCITT). 1.1.1. Giới thiệu giao thức TCP/IP Giao thức TCP/IP (Transmission Control Protocol/Internet Protocol) là bộ giao thức cho phép kết nối các hệ thống mạng không đồng nhất với nhau. Ngày nay TCP/IP được sử dụng rộng rãi trong các mạng cục bộ cũng như trên Internet toàn cầu. TCP/IP được xem là giản lược của mô hình tham chiếu OSI với 4 tầng như sau: + Tầng liên kết mạng (Network Access Layer) + Tầng Internet (Internet Layer) + Tầng giao vận (Host-To-Host Transport Layer) + Tầng ứng dụng (Application Layer) Hình 1.2. Kiến trúc TCP/IP  Tầng liên kết: Tầng liên kết (còn được gọi là tầng liên kết dữ liệu hay là tầng giao tiếp mạng) là tầng thấp nhất trong mô hình TCP/IP, bao gồm các thiết bị giao tiếp mạng và chương trình cung cấp các thông tin cần thiết để có thể hoạt động, truy nhập đường truyền vật lý qua thiết bị giao tiếp mạng Applications Transport Internetwork Network Interface and Hardware Applications TCP/UDP ICMP IP ARP/RARP Network Interface and Hardware 9 đó. Nó bao gồm các chi tiết của công nghệ LAN, WAN và tất cả các chi tiết chứa trong lớp vật lý và lớp liên kết số liệu của mô hình OSI. Lớp liên kết định ra các thủ tục để giao tiếp với phần cứng mạng và truy nhập môi trường truyền. Các tiêu chuẩn giao thức modem như SLIP (Serial Line Internet Protocol) và PPP (Point-To-Point Protocol) cung cấp truy xuất mạng thông qua kết nối dùng modem. Hình 1.3: Các giao thức thuộc lớp Network Access Chức năng của lớp truy nhập mạng bao gồm ánh xạ địa chỉ IP sang địa chỉ vật lý và đóng gói (encapsulation) các gói IP thành các frame. Căn cứ vào dạng phần cứng và giao tiếp mạng, lớp truy nhập mạng sẽ xác lập kết nối với đường truyền vật lý của mạng.  Tầng Internet: Tầng Internet (còn gọi là tầng mạng) xử lý qua trình truyền gói tin trên mạng. Các giao thức của tầng này bao gồm: IP (Internet Protocol), ICMP (Internet Control Message Protocol), IGMP (Internet Group Message Protocol). Mục đích của lớp Internet là chọn lấy một đường dẫn tốt nhất xuyên qua mạng cho các gói di chuyển tới đích. Giao thức chính hoạt động tại lớp này là Internet Protocol. Sự xác định đường dẫn tốt nhất và mạch chuyển gói diễn ra tại lớp này. Application Transport Internet Network Access - Ethernet - Fast Ethernet - SLIP và PPP - FDDI - ATM, Frame Relay và SMDS - ARP - Proxy ARP - RARP 10 Hình 1.4: Các giao thức tại lớp Internet - IP cung cấp conectionless, định tuyến chuyển phát gói theo best- effort. IP không quan tâm đến nội dung của các gói nhưng tìm kiếm đường dẫn cho gói tới đích. - ICMP (Internet Control Message Protocol): đem đến khả năng điều khiển và chuyển thông điệp. - ARP (Address Ressulation Protocol): xác định địa chỉ lớp liên kết số liệu (MAC address) khi biết trước địa chỉ IP. - RARP (Reverse Address Ressulation Protocol): xác định các địa chỉ IP khi biết trước địa chỉ MAC. IP thực hiện các hoạt động sau: + Định nghĩa một gói là một lược đồ đánh địa chỉ. + Trung chuyển số liệu giữa lớp Internet và lớp truy nhập mạng. + Định tuyến chuyển các gói đến host ở xa.  Tầng giao vận: Tầng giao vận phụ trách luồng giữ liệu giữa hai trạm thực hiện các ứng dụng của tầng trên. Tầng này có hai giao thức chính: TCP (Transmission Protocol), UDP (User Datagram Protocol). Application Transport Internet Network Access Internet Protocol (IP) Internet Control Message Protocol (ICMP) Address Ressulation Protocol (ARP) Reverse Address Ressulation Protocol (RARP) [...]... đặt trong các mạng Ethernet hiện có Quản lý mạng là nhiệm vụ đầy thử thách, quy mô mạng càng lớn càng phức tạp Hiện nay, hầu hết phần tử mạng có các module quản lý riêng nên việc quản lý bị phân tán Xu hướng tương lai là tập trung hóa hệ thống quản lý mạng bằng việc tích hợp tất cả phần tử mạng trong một cơ sở dữ liệu tập trung và chia sẻ cho nhiều người quản trị mạng SNMP là giao thức quản lý mạng. .. trên mạng TCP/IP Sau đây là hai mô hình quản lý mạng sử dụng giao thức SNMP điển hình 1.2.1 Quản lý mạng Microsoft sử dụng SNMP Các mô hình quản lý mạng truyền thống chạy trên hệ điều hành của Microsoft đa số sử dụng giao thức SNMP, trong đó chia làm 4 thành phần: • Nút được quản lý (managed node) • Trạm quản lý (management station) • Thông tin quản lý (management information) • Giao thức quản lý (management... dữ liệu PDU được thay bởi các lớp Java để chuyển lệnh và dữ liệu - Giao thức UDP/IP được thay bởi giao thức TCP/IP - Cơ sở dữ liệu theo chuẩn MIB II được hỗ trợ cho các agent - Đặc trưng bảo mật vốn có trong mã Java byte-code cung cấp thêm một vỏ bọc an ninh trong quản lý thông tin xuyên mạng 1.2.3 Cơ chế quản lý mạng tập trung theo mô hình DEN Một cơ chế mới trong quản lý mạng là ứng dụng mô hình mạng. .. mức bảo vệ an toàn 28 Chương 2: GIẢI PHÁP AN NINH MẠNG SNMP 2.1 Giao thức quản trị mạng SNMP SNMP (Simple Network Management Protocol): là giao thức được sử dụng rất phổ biến để giám sát và điều khiển thiết bị mạng như switch, router, bridge Sử dụng trong các hệ quản trị như Unix, Windows, Printers, Modem racks, power supplies và các thiết bị khác Với những văn phòng nhỏ chỉ có vài thiết bị mạng và đặt... trong SNMPv1 và SNMPv2 không gì hơn ngoài password trong cleartext giữa một máy quản trị manager và một agent Chúng ta có thể nhận thấy vấn đề password trong clear-text thự sự là không an toàn, nó hoàn toàn có thể bị đánh cắp, truy lần lại và làm sập hệ thống mạng Trong SNMP Version 3 thì vấn đề bảo mật đã được quan tâm và đảm bảo an ninh hơn đối với SNMPv1 và SNMPv2 Vấn đề chính của SNMPv3 là an ninh. .. node mạng được quảng cáo công khai sang các địa chỉ IP * Quá trình đóng mở gói dữ liệu TCP/IP Cũng như mô hình OSI, trong mô hình kiến trúc TCP/IP mỗi tầng có một cấu trúc dữ liệu riêng, độc lập với cấu trúc dữ liệu được dùng ở tầng trên hay tầng dưới kề nó Khi dữ liệu được truyền từ tầng ứng dụng cho đến tầng vật lý, qua mỗi tầng được thêm phần thông tin điều khiển (Header) đặt trước phần dữ liệu. .. bị quản lý mạng, đôi khi còn gọi là các phần tử quản lý mạng, có thể là các router, các access server, các switch, các bridge, các hub, các computer host hay các máy in - Agent: Các agent là các modul phần mềm quản lý mạng cư ngụ trong chính các thiết bị được quản lý Một agent có trị thức cục bộ về thông tin quản lý mạng và thông dịch thông tin này sang dạng thức thích nghi với SNMP 32 Thực thể quản. .. dàng 1.3 Vấn đề bảo đảm an ninh truyền thông trên Internet 1.3.1 Khái niệm về đảm bảo an ninh truyền thông Mạng Internet đã được phổ cập khắp thế giới do vậy việc bảo vệ tài nguyên thông tin trên mạng là cấp thiết Vấn đề an ninh mạng càng trở nên cấp thiết để chống các hacker đột nhập vào hệ thống, ăn cắp thông tin và làm tê liệt hệ thống Mục tiêu của việc đảm bảo an ninh trên mạng là: 25 + Tính bảo... Không thân thiện 1.2.2 Quản lý mạng trên môi trường Java Sun Microsystem đã hỗ trợ một phương thức quản lý mạng dựa trên môi trường Java Kiến trúc Java sử dụng giao thức SNMP như giao thức quản lý mạng gồm hai thành phần: trình duyệt quản lý chạy trên hệ thống NMS (Network Management System) và các máy Java thông minh chạy trên các phần tử mạng gọi là các agent thông minh Dữ liệu liên lạc giữa trình... thấy tại các tầng khác nhau dữ liệu được mang những thuật ngữ khác nhau: − Trong tầng ứng dụng dữ liệu là các luồng được gọi là stream − Trong tầng giao vận, đơn vị dữ liệu mà TCP gửi xuống tầng dưới gọi là TCP segment − Trong tầng mạng, dữ liệu mà IP gửi tới tầng dưới được gọi là IP datagram − Trong tầng liên kết, dữ liệu được truyền đi gọi là frame Application Layer Transport Layer TCP Stream UDP Message . 2.2. Các giải pháp xác thực thông tin quản trị 53 2.3. Giải pháp đảm bảo toàn vẹn thông tin quản trị 55 2.4. Giải pháp mã mật thông tin quản trị 56 2.4.1 TRẦN DUY MINH GIẢI PHÁP AN NINH TRONG KIẾN TRÚC QUẢN TRỊ MẠNG SNMP Chuyên ngành: Khoa học máy tính Mã số: 60.48.01 LUẬN VĂN THẠC SĨ CÔNG